Bảo mật laptop Windows 11: Memory Integrity và Find My Device

Memory Integrity là tính năng bảo mật khiến chương trình độc hại khó dùng driver cấp thấp để chiếm quyền điều khiển máy. Trong tài liệu kỹ thuật, tính năng này còn mang tên HVCI, viết tắt của hypervisor-protected code integrity. Nói đơn giản, Windows chuyển phần kiểm tra mã driver sang một vùng nhớ biệt lập do trình ảo hóa quản lý, nên kể cả khi nhân hệ điều hành bị xâm nhập, kẻ tấn công vẫn khó nạp driver giả mạo.

• Công tắc nằm tại Windows Security, mục Device security, rồi Core isolation details.
• Trên bản tiếng Việt, Core isolation hiển thị là cách ly lõi, còn mục kia là toàn vẹn bộ nhớ.
• Danh sách mục trong cách ly lõi đổi theo phiên bản Windows và phần cứng, nên hai máy có thể hiện số công tắc khác nhau.

Để hiểu vì sao công tắc bị tắt và khi nào nên bật lại, đọc bài Memory Integrity trên laptop Windows 11, bài gốc dẫn theo tài liệu của Microsoft.

Memory Integrity không chạy độc lập mà dựa trên nền bảo mật dựa trên ảo hóa, gọi tắt VBS. Vì vậy một laptop muốn bật công tắc này phải đáp ứng vài điều kiện, và bạn nên biết chúng trước khi mua.

1. Ảo hóa phần cứng phải được kích hoạt trong UEFI hoặc BIOS, vì đây là điều kiện tiên quyết theo trang hỗ trợ của Microsoft.
2. Các driver đang cài phải tương thích, nếu không Windows sẽ liệt kê driver gây xung đột và công tắc không bật được.
3. Thành phần bảo vệ ngăn xếp ở chế độ nhân chỉ bật được khi toàn vẹn bộ nhớ đang chạy và CPU hỗ trợ Intel Control-Flow Enforcement Technology hoặc AMD Shadow Stack.

Danh sách chặn driver có lỗ hổng cũng tự kích hoạt khi máy đang bật Memory Integrity, Smart App Control hoặc chế độ S. Ba tính năng này dùng chung một danh sách chặn, nên bật một cái cũng kéo theo lớp bảo vệ của cái còn lại.

Với máy mua cũ, tôi thường kiểm ngay ở cửa hàng xem ảo hóa có bật sẵn không. Nhiều máy bán lại đã được người dùng trước tắt ảo hóa trong BIOS để chạy phần mềm giả lập, và người bán không để ý.

Khi laptop thất lạc ở quán cà phê hay sân bay, phản xạ đầu tiên của nhiều người là mở bản đồ. Windows có sẵn tính năng Find My Device cho việc này, nhưng nó chỉ hoạt động khi đã được kích hoạt từ trước. Trang hỗ trợ Find and lock a lost Windows device của Microsoft nêu bốn yêu cầu.

• Find My Device phải được bật trước khi mất máy.
• Laptop phải đăng nhập bằng tài khoản Microsoft cá nhân.
• Loại tài khoản phải là quản trị viên, tức Administrator.
• Dịch vụ vị trí phải bật cho thiết bị.

Vị trí hiển thị do dịch vụ vị trí của Windows cung cấp, kết hợp tín hiệu GPS, điểm truy cập không dây, trạm di động và địa chỉ IP. Vì thế tôi đọc kết quả như một khu vực tham khảo kèm mốc thời gian, không coi đó là tọa độ tuyệt đối. Mỗi lần chủ máy thử định vị, người đang dùng laptop sẽ thấy thông báo, nên tính năng không hoạt động âm thầm.

Cách xem vị trí và khóa máy từ xa nằm trong bài tìm máy mất bằng Windows Find My Device, vì bài gốc còn có cả lệnh khóa từ xa và những giới hạn Microsoft ghi rõ.

1. Mở Windows Security, đọc trạng thái Core isolation và xem ảo hóa có bật trong BIOS không.
2. Thử bật Memory Integrity, ghi lại driver nào bị báo không tương thích.
3. Đăng nhập tài khoản Microsoft cá nhân và bật Find My Device ngay từ ngày đầu dùng máy.
4. Kiểm dịch vụ vị trí đã bật cho thiết bị chưa.
5. Ghi chú tên tài khoản và email khôi phục vào nơi an toàn, không lưu trong chính chiếc laptop.

Phần bảo mật chỉ là một mảnh của bức tranh khi chọn máy, nên hãy đặt nó cạnh các tiêu chí khác. Bảng Điểm Laptop cho điểm từng máy theo nhóm sử dụng, từ đó bạn lọc ra vài mẫu rồi mới kiểm các điều kiện bảo mật ở trên.

Tôi hay nhắc khách rằng các tính năng này chỉ có ích khi được cài sẵn. Một máy bật Find My Device từ tuần đầu có cơ hội tìm lại cao hơn nhiều so với máy mãi đến lúc mất mới nhớ ra cần định vị.

• Bật Memory Integrity rồi thấy driver cũ bị chặn: hãy cập nhật driver từ trang hãng thay vì tắt tính năng ngay.
• Tưởng Find My Device tự bật sẵn: tính năng cần được kích hoạt từ trước, nên đừng chờ đến lúc mất máy mới kiểm.
• Dùng tài khoản cơ quan hoặc tài khoản cục bộ: loại tài khoản này không đáp ứng yêu cầu tài khoản Microsoft cá nhân.
• Tắt dịch vụ vị trí để tiết kiệm pin: khi đó bản đồ không có nguồn tín hiệu để hiển thị.

Điểm mình rút ra là bảo mật và tiện dụng không loại trừ nhau, nhưng cần thời gian cài đặt đúng ngay từ đầu. Dành mười phút ở ngày đầu tiên cho máy mới sẽ tiết kiệm nhiều rắc rối về sau.

Nếu một driver quan trọng không có bản mới tương thích, hãy cân nhắc giữ tính năng tắt tạm thời và ghi chú lại. Việc bật lại khi hãng phát hành driver mới thường chỉ mất vài phút.